実施環境： Splunk Cloud 8.2.2104.1

0. 概要

Splunk で使用できるグラフについて、今回は棒グラフ及び積み上げ棒グラフを紹介します。
棒グラフ及び積み上げ棒グラフは、値の長さ分の棒を伸ばすことで、各項目がどれだけの大きさの値を持つかを表すグラフです。
項目毎の値の大きさの違いを見たい場合に有用です。

1. SPL 文の組み方

今回、例とする SPL 文には以下を使用します。

Splunk

index="_internal" sourcetype="splunkd" source="*/metrics.log" group="per_index_thruput"
| chart sum(kb) OVER ingest_pipe BY series

表としては一番左の列にグループ化する項目名とグループ名が入り、2列名以降は一番上のヘッダ行にグラフの棒の名前が、2行目以降に棒の長さが入ります。
chart コマンドで関数フィールド1つ、グループ化する項目を OVER 句に、グラフの棒にする項目を BY 句に指定するとちょうどこのようになります。

グループ項目名	棒名	棒名	...
グループ名	棒長さ	棒長さ	...
グループ名	棒長さ	棒長さ	...
...	...	...	...

なお、グループ化しない場合は、以下のように stats コマンドでもグラフを作成できます。

Splunk

index="_internal" sourcetype="splunkd" source="*/metrics.log" group="per_index_thruput"
| stats sum(kb) BY series

ただし、上記の stats を使った棒グラフは正確には「1本の棒のみを持つグループが複数」という形をとっているため、「複数の棒を持つグループが1つ」の場合とは表示のされ方が若干異なることに注意してください。
またこの違いにより、後述の積み上げ棒グラフでは stats を使った場合上手く表示されません。

2. 使用方法

棒グラフは、 Splunk 視覚エフェクトの「 Column Chart 」または「 Bar Chart 」を選択することで使用できます。

「 Column Chart 」の場合棒は下から上に、「 Bar Chart 」の場合は左から右に伸びる形で表示されます。

3. 積み上げ棒グラフ

「 Column Chart 」または「 Bar Chart 」を使用した際のフォーマットの全般タブには、「スタックモード」という設定項目があります。
この設定を変更することで、グラフを通常の棒グラフから積み上げ棒グラフに変更できます。

「スタックなし」を指定した場合は、通常の棒グラフとして表示されます。

「スタック」を指定した場合は、積み上げ棒グラフとして表示されます。
項目毎の合計値についても見たい場合は、こちらの方が見やすいかと思います。

「100%スタック」を指定した場合は、各項目の比率についての積み上げ棒グラフとして表示されます。
値自体ではなく、値の比率の違いが見たい場合にはこちらを使用します。

なお、グループ化なしで積み上げ棒グラフを作成したい場合は、以下のようにダミーのグループを作るなどして、「グループが1つのデータ」を作るように上手くデータの形を整える必要があります。

Splunk

index="_internal" sourcetype="splunkd" source="*/metrics.log" group="per_index_thruput"
| eval value = ""
| chart sum(kb) OVER value BY series

以上、棒グラフの基本的な使い方について紹介しました。
次回は円グラフについて紹介します。

戻る